Big Pipes：以蜜罐瓦解 DDoS 租用網站的志願偵探

Big Pipes 起源於 2014 年在匹茲堡舉行的 Slam Spam 會議，當時任職於 Deloitte 的安全研究員 Allison Nixon 向 FBI 探員 Elliot Peterson 提議合作；Peterson 才剛參與搗破 Game Over Zeus 殭屍網路。他們的目標是「booter」或「stresser」服務：這類服務以訂閱方式販售分散式阻斷服務攻擊，通常約 20 美元即可發動多次攻擊，讓玩家與心懷不滿者能以垃圾流量淹沒對手的連線。

隨後成立的群組約有 30 名成員，透過 Slack 與每週通話聯繫，成員來自大型雲端供應商、遊戲公司、學術界，以及少數 FBI 探員與檢察官；群組名稱取自一句玩笑話「big pipes start fights」。Nixon 與 Clayton 建置感測器網路——加入駭客殭屍網路或偽裝成反射伺服器的蜜罐，以記錄攻擊指令——業界成員則貢獻多年第一手的受害者與防禦者經驗，志工則從操作者自己在論壇的貼文與廣告網站中揭穿其身分。

這條管道奏效了：2018 年 12 月的取締行動逮捕三名駭客，並使十幾個 booter 服務下線；2022 年 12 月的 Operation Power Off 導致六人被捕，並搗破不少於 49 個 DDoS 租用網站——同類行動中規模最大的一次；2023 年 5 月，FBI 宣布再搗破 13 個網路攻擊租用服務——這三波行動皆源自該群組。Clayton 對倖存者的警告是：如果你這次沒被查扣，你可能會得出結論，認為自己被調查的機率剛剛上升了——「你可能不會想等著看會發生什麼事」。

將加入殭屍網路並偽裝成反射伺服器的蜜罐，與最大的基礎設施營運商結合，把攻擊測量轉化為起訴證據。

蜜罐翻轉了監控方向：研究人員置身於殭屍網路與反射伺服器內部，在攻擊指令發出時即時記錄。

成員組成本身就是機制——網際網路最大管道的營運商同時也是 booter 的連帶受害者，因此測量、動機與證據都匯聚在同一處。

把檢察官與探員納入一個非正式群組，將線索到合法取締之間的距離縮短為一則 Slack 訊息。

非正式工作小組的成效可能超越機構：讓擁有感測器的志工與握有資料的受害者有直接管道接觸檢察官，案件管道便會自行建立。

截至 2023 年 5 月，Big Pipes 在五年內已促成三波重大取締行動——2018 年的逮捕、Operation Power Off 的六人被捕與 49 個網站被查扣，以及同年 5 月宣布的 13 個服務行動——該群組仍在追蹤仍在上線的 booter。行動似乎正在加速。